On Tue, Jun 14, 2005 at 03:17:42PM +0400, Artem Chuprina wrote:
> devi -> Anatoly Pugachev @ Tue, 14 Jun 2005 11:48:49 +0400:
>
> >>Написать патч, чтобы брать номер версии из файла конфигурации.
> >>Ну или аналогично, как сделано в apache. :)
> >>
>
> d> ест предположение, что у девелоперов были свои соображения "жесткого" забивания
> d> версии в код, и патч могу не принять ...
>
> d> вот как раз как и у OpenSSH.
>
> d> может кто подскажет, в чем логика?
> d> мож есть какая-то специфика, и я проглядел?
>
> d> как бы паранойя подксзывает обрывать такие вещи
> d> как ServerTokens в апаче, expose в php, issue, ...
>
> d> почему сие не практикуется с Cyrus-{imapd|pop3d}, OpenSSH, ... ?
>
> d> хотя бы мнения услышать, а очень хорошо - и рекомендации.
>
> Security by obscurity помогает очень слабо.
Согласен, терпеливого и целенаправленного хакера обмануть сложно,
но бестолковых роботов/сканеров можно сбить с толку таким баннером.
пример конфигурации:
linux с установленным sendmail и в баннере написано, MDaemon System
или же форвард 25 порта на внутренний почтовик, на котором действительно может
стоять windows с mdaemon/exchange/etc..
--
Anatoly P. Pugachev
Attachment:
pgprZXRmU803h.pgp
Description: PGP signature